Šāda situācija vairs nav retums. Eiropas Banku iestādes 2024. gada risku pārskatā, kas balstīts uz 85 Eiropas banku atbildēm, secināts, ka lielākā daļa aptaujāto banku mākslīgo intelektu (MI) izmanto kredītspējas novērtēšanā, un vairums šo risinājumu vairs nav izmēģinājuma stadijā.[2] Bez pieteikumiem hipotēkām un aizdevumiem MI arī analizē un atsijā darba pieteikumus, izvērtējot kandidātus uz potenciālām darba vietām.[3] Un tieši šeit slēpjas pretruna, kuras sekas jūt nevis juristi vai uzņēmumi, bet pats cilvēks. Sava Rīgas Stradiņa universitātes (RSU) maģistra darba ietvaros analizēju šo situāciju un izklāstīšu galvenās atziņas.
Kas ir sensitīvi dati?
Datu aizsardzības regulas 9. pants sensitīvos datus uzskaita konkrēti. Tie ir dati, kas atklāj rasi vai etnisko izcelsmi, politiskos uzskatus, reliģisko vai filozofisko pārliecību vai dalību arodbiedrībā, kā arī dati par dzimumdzīvi, seksuālo orientāciju u. c. Svarīgi, ka aizsardzība attiecas ne tikai uz datiem, ko cilvēks pats norādījis, bet arī uz informāciju, no kuras šādus datus var secināt.[1] Citas aizsargātas pazīmes, piemēram, vecums vai dzimums, diskriminācijas aizliegumā ir svarīgas, taču regulas izpratnē tie nav sensitīvie dati.
ĪSUMĀ:
Kad “nē” saka nevis cilvēks, bet algoritms
Bankas, apdrošinātāji, darba devēji un valsts iestādes arvien biežāk izmanto automatizētas sistēmas, lai ātrāk un, kā tiek uzskatīts, arī objektīvāk pieņemtu lēmumus, vai piešķirt cilvēkam prasīto pakalpojumu, iespēju. Algoritms var izvērtēt simtiem datu punktu sekundes daļā, kamēr cilvēkam tas prasītu stundas.
Tomēr ātrumam un šķietamai objektivitātei ir cena, jo cilvēks, kura pieteikumu algoritms noraidījis, bieži nezina ne to, ka lēmumu nav pieņēmis cilvēks, ne arī pamatojumu šādam lēmumam.
Dati, ko banka neprasīja, bet saņēma
Likums bankām aizliedz izmantot sensitīvus datus kredīta lēmumā.[4] Taču praksē bankas šos datus saņem, un nevis tāpēc, ka tās tos prasa, bet tāpēc, ka tie atklājas nejaušībā. Piemēram, banka pieprasa klienta bankas konta izrakstu, lai novērtētu kredītspēju. Izrakstā redzami ne tikai ienākumi un izdevumi, bet arī maksājumu saņēmēji. Ja klients pārskaita naudu politiskajai partijai vai reliģiskai organizācijai, banka automātiski uzzina viņa personīgos uzskatus bez tiešas pieprasīšanas.[5] Tā kā sensitīvo datu aizsardzība attiecas arī uz informāciju, no kuras šādus datus var secināt[1], bankas iebildums “mēs sensitīvos datus neprasām” nav pietiekams pamatojums. Ja šie dati ir kredītvērtēšanas sistēmā, banka tos apstrādā. Un, ja banka izmanto MI sistēmu, kas pieņem lēmumu kredīta piešķiršanai vai atteikšanai, šī sistēma var nejaušā ceļā ņemt vērā jūsu politiskos uzskatus, rasi vai reliģisko pārliecību.
Pretruna, kas paslēpta likumā
Lai augsta riska mākslīgā intelekta sistēma, piemēram, tāda, kas vērtē kredītpieteikumus vai darba kandidātus, pieņemtu godīgus un nediskriminējošus lēmumus, tai reizēm jāmācās tieši no šiem datiem, kurus likums sargā visvairāk. Lai pārbaudītu, vai algoritms neizrāda neobjektivitāti pret kādu sabiedrības grupu, tam šī grupa jāiemācās. Paradoksāli, bet, lai algoritms cilvēku nediskriminētu, tam vispirms jāredz tas, ko tam pēc likuma redzēt ir aizliegts, lai izvērtētu, ko tad nevar diskriminēt.[6]
MI akts paredz izņēmumu, lai uzņēmumi varētu pārbaudīt, vai to MI sistēmas nerada aizspriedumainus vai diskriminējošus rezultātus. Ar 2026. gada 27. jūlijā spēkā stājušos Digitālo Omnibus regulu par mākslīgo intelektu sensitīvus datus neobjektivitātes pārbaudei tagad drīkst apstrādāt ne vairs tikai augsta riska sistēmu izstrādātāji, bet arī tie, kas šādas sistēmas lieto, un praktiski jebkuras citas MI sistēmas izstrādātāji un lietotāji, ja neobjektivitāte varētu ietekmēt cilvēku veselību un drošību, nelabvēlīgi ietekmēt pamattiesības vai izraisīt aizliegtu diskrimināciju.[7]
Šis raksts ir daļa no Latvijas zinātnieku sasniegumu un pētījumu atspoguļojuma sabiedriskā medija portālā LSM.lv.
Zinātniskā vadītāja: Dr. iur. Marta Urbāne.
Šādu datu izmantošana ir pieļaujama tikai tad, ja tā ir absolūti nepieciešama. Tas nozīmē, ka uzņēmumam vispirms jāizvērtē, vai neobjektivitāti nevar atklāt un novērst, izmantojot citus datus, piemēram, anonimizētus. Ja ar tiem nepietiek, sensitīvos datus drīkst apstrādāt tikai konkrētajam mērķim un ar stingriem aizsardzības pasākumiem. Piekļuve šādiem datiem ir jāierobežo ar īpaši pilnvarotu personu loku. Datus nedrīkst nodot citām personām, un tie jādzēš, tiklīdz neobjektivitāte ir novērsta vai beidzas noteiktais glabāšanas termiņš. Uzņēmumam arī jādokumentē, kāpēc sensitīvo datu apstrāde bija absolūti nepieciešama un kāpēc mērķi nebija iespējams sasniegt ar mazāk sensitīviem datiem.
Vienkārši sakot, lai pārbaudītu, vai MI sistēma pret kādu personu grupu neizturas netaisnīgi, uzņēmumam dažkārt ir jāzina, vai šīs personas pieder attiecīgajai grupai. Piemēram, kredītspējas vērtēšanas sistēmu nevar pilnvērtīgi pārbaudīt attiecībā uz iespējamu etnisku diskrimināciju, ja nav iespējams konstatēt, vai tās rezultāti konkrētu etnisku grupu skar nesamērīgi nelabvēlīgi. Tomēr šādu pārbaudi neveic pati sistēma. Par to atbild uzņēmums, kas sistēmu izstrādā vai izmanto, un tā pilnvarotās personas. Proti, banka var noskaidrot, vai tā negodīgi vērtē kādu etnisko grupu tikai tad, ja zina, kas pie šādas grupas pieder.
Izklausās pēc risinājuma, tikai problēma ir tā, ka nekur nav precīzi definēts, ko praksē nozīmē “absolūti nepieciešams”. Cik ilgi datus drīkst glabāt? Cik plašu datu kopumu drīkst izmantot? Kurā brīdī dati jādzēš?
Robeža starp atļauto un aizliegto paliek neskaidra, un Eiropas dalībvalstu uzraudzības iestādes šo standartu var interpretēt atšķirīgi.
Kā algoritms iemācās diskriminēt?
Ja sistēmu apmāca ar datiem, kas atspoguļo agrāku netaisnīgu attieksmi, tā var iemācīties vērsties pret tām pašām grupām, kuras likumam būtu jāsargā. Ja vēsturiskie dati nāk no laika, kad daudzviet faktiski varēja strādāt tikai baltādaini heteroseksuāli vīrieši, algoritms var uztvert šo ainu par “normu” un nemanot to atkārtot arī šodien, jo mācās un apstrādā visu laika gaitā ievākto informāciju.
Praksē cilvēks var saņemt atteikumu, ja algoritms ir apstrādājis datus, kuros ir atrodami viņa politiskie uzskati, piemēram, maksājumus politiskai partijai, un tie, iespējams, ietekmējuši rezultātu. Iemeslu viņš automātiski nesaņem, taču tiesības to pieprasīt viņam ir. Risku pastiprina tas, ka algoritmi sensitīvu informāciju spēj atvasināt pat no šķietami neitrāliem datiem, piemēram, dzīvesvietas vai veiktajiem pirkumiem.
Ko saka Eiropas Savienības Tiesa
Lai gan konkrēti par mākslīgā intelekta “absolūtās nepieciešamības” standartu Eiropas Savienības Tiesai vēl nav bijusi iespēja spriest, tiesa jau gadiem skaidro, ko nozīmē datu apstrādes “nepieciešamība” un “samērīgums” citos kontekstos, un šī judikatūra veido pamatu, kā šo standartu varētu interpretēt arī mākslīgā intelekta jomā. Tiesas ieskatā, datu apstrādei jābūt ne vien lietderīgai, bet arī patiešām vajadzīgai konkrēta mērķa sasniegšanai. Ja to pašu rezultātu iespējams panākt ar mazāk iejaucošiem līdzekļiem, plašāka datu izmantošana nav pieļaujama.
To tiesa uzsvēra lietās Digital Rights Ireland[8]un Tele2 Sverige[9], kur tika atzīts, ka visaptveroša telekomunikāciju datu glabāšana pārsniedz nepieciešamo, jo tā attiecas uz ļoti plašu cilvēku loku bez pietiekami konkrētiem ierobežojumiem. Līdzīgu pieeju tiesa piemēroja lietā Schrems II[10], vērtējot personas datu pārsūtīšanu ārpus Eiropas Savienības, un lietā Huber[11], analizējot centralizētu personas datu uzkrāšanu valsts reģistrā. Kopējā doma ir vienkārša – jo vairāk un jo sensitīvākus datus izmanto, jo skaidrāk jāspēj pamatot, kāpēc bez tiem konkrēto mērķi nevar sasniegt.
Šī pieeja ir nozīmīga arī mākslīgā intelekta sistēmām. Ja uzņēmums vēlas izmantot sensitīvus datus, lai pārbaudītu, vai MI sistēma pret kādu sabiedrības grupu neizturas netaisnīgi, tam vispirms jāizvērtē, vai pietiek ar anonimizētiem vai citiem datiem, kas var palīdzēt atspoguļot vajadzīgo informāciju. Ja nepietiek, uzņēmumam jāspēj pierādīt, ka sensitīvo datu izmantošana bija vienīgais efektīvais risinājums. Tieši šādu pamatojumu paredz MI akta “absolūtas nepieciešamības” prasība.
Tiesa pēdējos gados īpaši pievērsusies arī automatizētiem kredītspējas vērtējumiem. Lietā SCHUFA Holding tā atzina, ka vērtējums, ko sistēma izrēķina par cilvēka spēju atmaksāt kredītu, var būt automatizēts lēmums, ja banka uz šo vērtējumu būtiski paļaujas, lemjot par kredīta piešķiršanu. Tas nozīmē, ka atbildība var būt ne tikai bankai, bet arī uzņēmumam, kas šo vērtējumu par kredītvēsturi ir sagatavojis.[12]
Savukārt lietā Dun & Bradstreet Austria tiesa uzsvēra, ka personai ir tiesības saņemt saprotamu skaidrojumu par automatizētu lēmumu. Ar vispārīgu atsauci uz formulu vai sarežģītu algoritmu nepietiek. Uzņēmumam ir jāpaskaidro, kādi personas dati izmantoti un kā tie ietekmējuši rezultātu, lai cilvēks varētu saprast lēmumu un, ja nepieciešams, to apstrīdēt.[13]
Trīs jautājumu tests, kas parāda, vai sensitīvie dati bija “absolūti nepieciešami”.
Autore piedāvā testu, kas izriet no Eiropas Savienības Tiesas prakses un pašas normas trīs pārbaudes jautājumu veidā, kurus var izmantot, lai identificētu absolūtu nepieciešamību. MI akta izņēmums ļauj izmantot sensitīvus datus, lai pārbaudītu, vai algoritms diskriminē personu. Ja personai ir pamatotas šaubas, ka viņas sensitīvie dati varēja ietekmēt lēmumu, persona var lūgt pamatotu skaidrojumu uzdodot trīs kontroles jautājumus:
Ja atbilde uz kaut vienu no jautājumiem ir “nē”, sensitīvo datu izmantošana, visticamāk, pārsniegusi likumā atļauto.
Šie jautājumi cilvēkam nav jāatbild. Cilvēkam pietiek ar to, ka viņš zina, ko jautāt, un ka atbildēt ir uzņēmuma pienākums.
Ko patērētājs var darīt jau šodien?
Algoritms nedrīkst būt “melnā kaste”, kuras dēļ cilvēks nevar saprast, kāpēc viņam atteikts kredīts, darbs vai kāds cits būtisks pakalpojums. Reāli izmantojamās tiesības šobrīd dod nevis MI akts, bet datu aizsardzības regula. Tā jau šobrīd aizsargā cilvēku pret lēmumiem, kas pieņemti tikai automatizēti un ar būtisku ietekmi, piemēram, pret automātisku kredīta atteikumu.
Šādos gadījumos persona var prasīt cilvēka iesaisti, lēmuma skaidrojumu un vai to pieņēmusi MI sistēma, kāda bija tās loma un kādi dati par personu ietekmēja atteikumu. Persona var arī prasīt piekļuvi saviem datiem un pieprasīt neprecīzu datu labošanu, ja uz tiem tika balstīts lēmums.[14] MI akts savukārt dos tiesības prasīt, lai uzņēmums izskaidro mākslīgā intelekta lomu lēmumā un lēmuma galvenos elementus, taču tās ir piesaistītas augsta riska sistēmu prasībām, kuru piemērošana pārcelta uz 2027. gada 2. decembri.[15]
Kas gaidāms nākotnē?
No 2027. gada 2. decembra Datu valsts inspekcija kļūs par vienu no MI akta uzraudzības iestādēm Latvijā. Sākotnēji šis datums bija 2026. gada 2. augusts, taču Digitālā Omnibus regula par mākslīgo intelektu to pārcēla, jo nebija gatavi saskaņotie standarti, kas uzņēmumiem parāda, kā prasības izpildīt, un dalībvalstis nebija izveidojušas ne uzraudzības, ne atbilstības novērtēšanas struktūras.[16]
Līdz šim Vispārīgās datu aizsardzības regulas 22. pantā noteiktās tiesības uz izskaidrotu, apstrīdamu lēmumu praksē bija grūti īstenot, jo nebija, kas pārbauda, vai uzņēmuma algoritms patiešām darbojas taisnīgi. Atlika vien uzticēties tā apgalvojumiem. MI akta 74. panta 13. punkts paredz, ka uzraudzības iestāde drīkst pieprasīt piekļuvi pašam algoritma pirmkodam, nevis tikai dokumentācijai, taču tikai tad, ja tā nepieciešama atbilstības novērtēšanai un ja pārbaudes, kas balstītas uz uzņēmuma sniegtajiem datiem un dokumentāciju, ir izsmeltas vai izrādījušās nepietiekamas. Tas līdzinās tam, kā pārtikas inspekcija pārbauda ne tikai etiķeti, bet paņem paraugu no paša produkta.
Mākslīgā intelekta un privātuma līdzsvars nav tikai jautājums par to, kā regulēt tehnoloģiju uzņēmumus. Tas ir jautājums par to, cik lielā mērā ikviens no mums var paļauties, ka lēmumus par mūsu dzīvi pieņem sistēma, kas ievēro to pašu godīgumu, ko sagaidītu no cilvēka.
Atsauces un avoti:
1. EST 2022. gada 1. augusta spriedums lietā C-184/20, OT pret Vyriausioji tarnybinės etikos komisija (OT)
2. Eiropas Banku iestāde. Risk Assessment Report, 2024. gada novembris, 7. sadaļa “Special topic – Artificial intelligence”, 86. lpp. Pieejams šeit.
3. Eiropas Parlamenta un Padomes Regulas (ES) 2024/1689 (Mākslīgā intelekta akts) III pielikuma 4. un 5. punkts
4. Eiropas Parlamenta un Padomes Direktīva (ES) 2023/2225 (2023. gada 18. oktobris) par patēriņa kredītlīgumiem, 18. pants, un Vispārīgā datu aizsardzības regula, 22. panta 4. punkts.
5. Eiropas Parlamenta un Padomes Regula (ES) 2016/679 (2016. gada 27. aprīlis) par fizisko personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (Vispārīgā datu aizsardzības regula) 4.panta 2.punkts
6. Eiropas Parlamenta un Padomes Regula (ES) 2024/1689 (Mākslīgā intelekta akts) preambulas 70. apsvērums.
7. Eiropas Parlamenta un Padomes Regula (ES) 2026/1744 (2026. gada 8. jūlijs) (Digitālā Omnibus regula par mākslīgo intelektu), 1. panta 6. punkts (ar ko iekļauj MI akta 4.a pantu) un 1. panta 9. punkta “b” apakšpunkts (ar ko svītro 10. panta 5. punktu). OV L, 2026/1744, 24.07.2026.
8. EST 2014. gada 8. aprīļa spriedums apvienotajās lietās C-293/12 un C-594/12, Digital Rights Ireland.
9. EST 2016. gada 21. decembra spriedums apvienotajās lietās C-203/15 un C-698/15, Tele2 Sverige un Watson.
10. EST 2020. gada 16. jūlija spriedums lietā C-311/18, Facebook Ireland un Schrems (Schrems II).
11. EST 2008. gada 16. decembra spriedums lietā C-524/06, Huber pret Vāciju.
12. EST 2023. gada 7. decembra spriedums lietā C-634/21, SCHUFA Holding (Scoring).
13. EST 2025. gada 27. februāra spriedums lietā C-203/22, Dun & Bradstreet Austria.
14. Eiropas Parlamenta un Padomes Regula (ES) 2016/679 (Vispārīgā datu aizsardzības regula), 15., 16. un 22. pants.
15. Eiropas Parlamenta un Padomes Regula (ES) 2024/1689 (Mākslīgā intelekta akts) 86.pants
16. Regula (ES) 2026/1744, 40. apsvērums un 1. panta 40. punkts (grozījumi MI akta 113. pantā).
